KeePass laeuft seit 2003, geschrieben von Dominik Reichl, und sein Modell hat sich in zwanzig Jahren nicht bewegt: jedes Konto wandert in eine Datenbankdatei, der Haufen wird mit einem Hauptschluessel gesperrt, und ein Mensch muss sich nur diesen einen merken. Fassung 2.61.1 erschien am 1. Mai 2026, und die Liste der Aenderungen besteht fast nur aus Reparaturen.

Eine Datei, ein Hauptschluessel

Die Datenbank zu oeffnen heisst, den Hauptschluessel einmal zu tippen, und Konten, Passwoerter, Adressen und Notizen darin kommen alle heraus. Die ganze Datenbank ist verschluesselt, nicht nur die Felder der Passwoerter: Benutzernamen, Notizen und Anhaenge liegen ebenfalls im Geheimtext. Der Algorithmus ist eine Wahl aus AES, ChaCha20 oder Twofish, alle drei altbewaehrt und wiederholt untersucht.

Der Hauptschluessel wird nicht unmittelbar als Schluessel zum Verschluesseln benutzt. Seine Teile werden mit SHA-256 gehasht und dann durch eine Funktion zur Ableitung von Schluesseln gefuehrt, entweder AES-KDF oder Argon2. Der Sinn dieses Schritts ist, das Raten zu bremsen: jeder Versuch kostet eine einstellbare Menge Rechenzeit, was den Preis eines Woerterbuchangriffs oder eines Durchlaufs mit roher Gewalt hebt. Waehrend das Programm laeuft, bleiben Passwoerter auch im Speicher verschluesselt, damit ein auf die Platte geschriebener Prozess sie nicht auskippt.

Zwei Versionslinien nebeneinander

Die Linie 2.x ist die Hauptlinie, in .NET geschrieben; 1.x ist ein aelterer Zweig, der noch gepflegt wird und bei 1.43 steht. Das Verzeichnis der Ausgaben auf der Seite ist dicht: 2.61.1 am 1. Mai 2026, 2.61 am 4. Maerz 2026, 2.60 am 2. November 2025, 2.59 am 9. Juli 2025. Das ist nicht der Takt eines grossen Vorstosses, eher das regelmaessige Abraeumen der aufgelaufenen Probleme.

Was 2.61 und 2.61.1 jeweils bewegt haben

2.61 neigte zu Oberflaeche und Einbindung. Das Fenster zum Suchen bekam einen Schalter fuer die Beachtung von Zeichen mit Akzent, ausgeschaltet als Vorgabe, sodass die Suche sie ignoriert, solange nichts anderes verlangt wird. Ist die Pruefung auf Aktualisierungen beim Start an, laeuft sie jetzt nebenher, bevor die Datenbank sich oeffnet, und wenn sie eintrifft, waehrend die Abfrage des Hauptschluessels noch steht, nennt ein Streifen die neue Fassung. Der Erzeuger einmaliger Passwoerter hatte einige kante Stellen, die gerichtet wurden: ein eingefuegtes gemeinsames Geheimnis mit Base16, Base32 oder Base64 wird jetzt von selbst von Leerraum befreit, und Knoepfe kopieren den aktuellen Code in die Zwischenablage. Am meisten bewegte sich beim Abgleich: die aktuelle Datenbank auf eine Datei oder eine Adresse im Netz zu bringen nimmt jetzt mehrere Ziele auf einmal, Ausloeser bekamen still bei Fehler und weiter bei Fehler, und wenn der letzte Schritt eines Abgleichs eine oertliche Datei schreibt, werden die geschriebenen Daten in die uebrigen beteiligten Dateien kopiert, statt alles neu zusammenzusetzen. Ein falscher Hauptschluessel beim Ausgeben erlaubt jetzt einen neuen Versuch, so wie das Oeffnen der Datenbank.

2.61.1 ist eine reine Liste von Reparaturen: der Fokus nach der Rueckkehr vom sicheren Schreibtisch, die Option immer im Vordergrund beim ersten Mal, das Starten der Ansicht fuer HTML, weniger Flackern im Fenster zum Drucken, leere Daten anzeigen als Vorgabe an, und ein schnelleres Loesen der Zusatztasten, wenn XDoTool auf Unix-Systemen das Tippen uebernimmt. Dateivorgaenge, die eine Adresse im Netz brauchten, waehrend die zugrunde liegende Datei fehlte, melden keinen Fehler mehr.

Auto-Type ist der beruehmte Teil

Was Auto-Type tut, ist schlicht: es ahmt Tastendruecke in das Fenster im Vordergrund nach. Die vorgegebene Folge ist {USERNAME}{TAB}{PASSWORD}{ENTER}, also Benutzername tippen, Tab druecken, Passwort tippen, Enter. Die Namen in geschweiften Klammern sind Platzhalter und lassen sich in jede Ordnung bringen.

Jeder Eintrag laesst sich eigens einstellen: eine vorgegebene Folge im Fenster des Eintrags, dazu Gruppen von Zuordnungen von Fenstertitel zu Folge. Zwei Anmeldeseiten derselben Seite, oder eine Seite, die vorher ein Haekchen will, werden durch diese Zuordnung getrennt. Dazu gibt es einen Griff namens Zwei-Kanal-Verschleierung, der die Tasten auf zwei Kanaele verteilt und verschraenkt, sodass Software, die die Tastatur mitschreibt, nie die ganze Folge bekommt. Das Sperren der Anzeige und der Wechsel auf den sicheren Schreibtisch geschehen unterwegs ebenfalls.

Erzeuger und Abgleich

Der Erzeuger arbeitet auf zwei Wegen: Zeichen zufaellig aus einer Menge ziehen, oder eines nach einem Muster bauen. Der Autor empfiehlt das erste und laesst das zweite fuer Faelle, in denen eine Regel erfuellt sein muss. Laenge, grosse und kleine Buchstaben, Ziffern und Zeichen lassen sich setzen, und mehrere Profile duerfen bestehen, damit verschiedene Konten verschiedene Formen bekommen, mit einem Profil als Vorgabe fuer neue Eintraege.

Der Abgleich antwortet auf den Fall, dass dieselbe Datenbank auf mehreren Maschinen ein wenig geaendert wurde. Nach dem Zusammenfuehren werden beide beteiligten Dateien auf den zusammengefuehrten Stand geschrieben, statt dass eine die andere ueberschreibt. Oertliche Platte, Freigabe im Netz, FTP, HTTP und WebDAV brauchen keine Erweiterung; SCP, SFTP und FTPS wollen eine Erweiterung des Protokolls installiert sehen; Datenbanken in einem Speicher in der Wolke haben meist einen fertigen Weg. Die Datenbank selbst kommt keinem Server des Autors nahe.

Zu dieser Verbindung ins Netz

Die offiziellen Antworten tragen eine eigene Frage: warum es ueberhaupt ins Netz geht. Es gibt genau eine Quelle, die optionale Pruefung auf Aktualisierungen beim Start. Ist sie an, laedt das Programm eine kleine Datei mit Versionsangaben, vergleicht sie mit der oertlichen Fassung und nennt eine Aktualisierung nur, wenn eine neuere da ist. Keine persoenliche Angabe wird hochgeladen, und nichts wird von selbst geladen oder installiert. Der erste Start fragt, ob die Pruefung an sein soll, und die Seite fuer Fortgeschrittene in den Einstellungen kann sie jederzeit abschalten. Genau gesagt also: der Inhalt der Datenbank und die Arbeit daran bleiben oertlich, und das Netz wird nur von dieser einen Pruefung beruehrt, die sich schliessen laesst.

Systeme, Tragbarkeit und Erweiterungen

Die Linie 2.x unterstuetzt Windows 7, 8, 10 und 11 und laeuft ueber Mono auf Linux, macOS und BSD; x86, x64 und ARM64 haben alle eigene Fassungen. Die tragbare Fassung im Paket laeuft, sobald sie ausgepackt ist, schreibt ihre Einstellungen in den Ordner des Programms und sonst nirgends im System, weshalb der USB-Stick der gewoehnliche Weg ist, sie zu benutzen.

Dazu kommt eine Schicht von Erweiterungen, und Aufgaben wie Ein- und Ausgabe oder Sicherung der Datenbank kommen meist von aussen, mit einem eigenen Abschnitt auf der offiziellen Seite, der die waehlbaren nennt. Die Lizenz ist quelloffen und von der OSI anerkannt, der Quelltext liegt offen, und die Seite sagt den Grund deutlich: jeder kann nachsehen, ob die Funktionen fuer Sicherheit richtig umgesetzt sind.

Der Gedanke hinter KeePass hat sich nie verschoben: kein Hosten, kein Abgleich auf einem fremden Server, keine Verwahrung des Hauptschluessels. Der Preis ist, dass der Abgleich eigene Sorge bleibt und ein vergessener Hauptschluessel eine verschlossene Tuer bedeutet; zurueck kommt, dass Ort der Datenbank und Zugriff allein die eigene Entscheidung sind.